Aktenvernichtung nach DSGVO und DIN 66399: Was gilt?

Bei jeder Büroauflösung tauchen sie auf: Archivregale voller Ordner, Kisten mit alten Bewerbungen, Hängeregister mit Kundendaten. Wegwerfen geht nicht, alles behalten auch nicht. Dieser Artikel erklärt, was die DSGVO verlangt, wie die DIN 66399 aufgebaut ist und wie du die Vernichtung bei einer Räumung sauber organisierst. Den Gesamtablauf findest du im Leitfaden zur Firmenauflösung.

Wann musst du Akten nach der DSGVO vernichten?

Personenbezogene Daten müssen gelöscht werden, sobald sie für ihren Zweck nicht mehr nötig sind. Das steht in Art. 17 Abs. 1 lit. a DSGVO. Bei Papier heißt Löschen: unwiederbringlich vernichten. Die wichtigste Ausnahme steht in Art. 17 Abs. 3 lit. b: Solange eine gesetzliche Pflicht zur Aufbewahrung besteht, darf und muss die Akte bleiben.

In der Praxis prüfst du jede Aktengruppe in zwei Schritten. Erst: Gilt noch eine Aufbewahrungsfrist nach Abgabenordnung oder HGB? Wenn ja, wird aufbewahrt. Wenn nein: Brauchst du die Daten noch für einen konkreten Zweck, etwa einen laufenden Rechtsstreit? Wenn auch das nein ist, wird vernichtet.

Buchungsbelege bewahrst du seit dem Vierten Bürokratieentlastungsgesetz 8 statt 10 Jahre auf. Die Fristen beginnen jeweils mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist. Für Personal- und Bewerberakten gibt es keine einheitliche Frist. Hier entscheidet dein Datenschutzbeauftragter oder deine Kanzlei.

Was regelt die DIN 66399?

Die DIN 66399 legt seit Oktober 2012 fest, wie klein Datenträger zerkleinert werden müssen, damit die Daten nicht wiederherstellbar sind. Sie arbeitet mit drei Schutzklassen, sieben Sicherheitsstufen und sechs Materialklassen. Die Norm selbst ist kostenpflichtig. Die Werte unten stammen aus einer Übersicht der Datenschutzstelle der TU Braunschweig.

Schutzklassen: Wie schutzbedürftig sind die Daten?

Personenbezogene Daten gehören laut der Übersicht mindestens in Sicherheitsstufe 3. Für Personalakten, Lohnunterlagen und Kundendaten mit Gesundheits- oder Finanzbezug wählen die meisten Unternehmen Stufe 4. Sind Akten mit unterschiedlichem Schutzbedarf gemischt und lassen sich nicht trennen, gilt die höhere Stufe für alles.

Sicherheitsstufen für Papier (P-1 bis P-7)

Neben P für Papier gibt es F für Mikrofilm, O für CDs und DVDs, T für Magnetkarten, H für Festplatten und E für elektronische Speicher wie USB-Sticks und Handys. Datenträger aus IT-Geräten behandelt der Artikel IT-Entsorgung und Datenlöschung.

Brauchst du einen Vertrag zur Auftragsverarbeitung?

Ja, wenn ein externer Dienstleister deine Akten mit personenbezogenen Daten vernichtet. Art. 28 DSGVO verlangt dann einen Vertrag, der schriftlich oder elektronisch abgeschlossen wird. Darin müssen unter anderem stehen:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Art der Daten und Kreis der Betroffenen
• Verarbeitung nur auf dokumentierte Weisung von dir
• Verpflichtung der Mitarbeiter zur Vertraulichkeit
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, etwa verschlossene Behälter und gesicherter Transport
• Regeln für Subunternehmer
• Nachweise und Kontrollrechte für dich als Auftraggeber

Seriöse Aktenvernichter haben eine Vorlage für diesen Vertrag und schicken sie mit dem Angebot. Fehlt sie, frag danach. Am Ende bekommst du ein Vernichtungsprotokoll mit Datum, Menge und Sicherheitsstufe. Lege es zu deinen Unterlagen zur Auflösung.

Wie organisierst du die Aktenvernichtung bei einer Büroauflösung?

1. Sortieren: Aufbewahren, vernichten, unklar. Die Kategorie unklar klärst du mit der Steuerberatung, bevor die Räumung startet.
2. Aufbewahrungsakten packen: In stabile, beschriftete Archivkartons mit Jahr und Inhalt. Sie gehen an den vereinbarten Lagerort, getrennt von allem anderen.
3. Vernichter beauftragen: Angebot mit Sicherheitsstufe, Vertrag nach Art. 28 DSGVO, Anzahl der Behälter und Abholtermin.
4. Behälter befüllen: Ordner leeren ist nicht nötig, wenn der Vernichter Ordner mit Metallmechanik annimmt. Frag das vorher, es spart Stunden.
5. Abholung vor der Räumung: Die Behälter sollten weg sein, bevor das Räumungsteam die restlichen Räume ausräumt. So mischt sich nichts.
6. Protokoll ablegen: Vernichtungsnachweis zusammen mit der Rechnung der Räumung aufbewahren.

Räum n'Go vernichtet selbst keine Akten. Wir stimmen bei der Besichtigung mit dir ab, wann der Aktenvernichter kommt, tragen die verschlossenen Behälter aus Keller oder Archiv zur Abholstelle und räumen danach den Rest. Aufbewahrungskartons fahren wir an die Adresse, die du nennst. Für ein Archiv im Keller eines Frankfurter Altbaus ohne Aufzug plant man dabei realistisch mehr Zeit ein, weil volle Archivkartons schwer sind und jede Treppe zählt.

Welche Fehler passieren bei der Aktenvernichtung am häufigsten?

• Ordner landen im Altpapiercontainer im Hof. Jeder Passant kann hineingreifen.
• Der Büro-Aktenvernichter schneidet nur Streifen nach P-2 und wird für Personalakten benutzt.
• Akten werden vernichtet, deren Frist noch läuft, weil das Jahr des letzten Belegs falsch gelesen wurde.
• Es gibt keinen Vertrag mit dem Vernichter und kein Protokoll.
• Datenträger im Archiv (CDs mit Backups, alte Disketten, USB-Sticks) werden übersehen.

Gerade der letzte Punkt ist bei älteren Firmen häufig. Bei unseren Besichtigungen planen wir deshalb einen eigenen Durchgang durch Archive und Schreibtischschubladen ein. Was dort an Technik liegt, wandert in die IT-Liste, nicht in den Restmüll.

Mehr zum Ablauf und zu den Kosten einer Räumung findest du auf der Seite Büroauflösung in Frankfurt. Musst du nach einer Insolvenz räumen, lies zusätzlich Räumung bei Insolvenz.

Allgemeine Information, keine Rechts- oder Steuerberatung. Welche Sicherheitsstufe und welche Fristen für deine Unterlagen gelten, klärst du mit deinem Datenschutzbeauftragten oder deiner Steuerberatung.